遠端 Debian 10 主機上安裝的一個套件受到 dla-3221 公告中提及的多個弱點影響。

  - cached-path-relative 版本 <=1.0.1 中的原型污染攻擊允許攻擊者在 Object.prototype 上插入內容，然後透過原型鏈由所有 JS 物件繼承，進而造成 DoS 攻擊。(CVE-2018-16472)

  - 透過在 cachedPathRelative 函數中設定為 {} 而不是 Object.create(null) 的快取變量，1.1.0 版之前的 cached-path-relative 套件容易受到原型污染攻擊的影響。當對像用於建立快取的相對路徑時，該漏洞允許攻擊者訪問上級原型屬性。使用原始路徑 as __proto__ 時，會存取物件的屬性，而非路徑。**注意：** 此弱點源自 https://security.snyk.io/vuln/SNYK-JS-CACHEDPATHRELATIVE-72573 中的不完整修正 (CVE-2021-23518)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-3221-1：node-cached-path-relative - LTS 安全性更新

critical Nessus Plugin ID 168403

版本 1.2